Lexoni regjistrin VPN përpara se ta dërgoni: fushë pas fushe

Hapni një biletë mbështetjeje, bashkëngjitni eksportin diagnostik që ka prodhuar klienti dhe prisni. Skedari ndoshta nuk përmban asnjë histori shfletimi, dhe pikërisht kjo e bën të duket i sigurt. Megjithatë përmban kush jeni, çfarë makine përdorët, çfarë adresash të brendshme arritët dhe kur, dhe ndonjëherë një çelës privat të kopjuar nga një klient që regjistron konfigurimin e tij. Kalimi nëpër skedar përpara se ta dërgoni kërkon rreth pesë minuta dhe parandalon një zbulim të përhershëm.

Hapeni dhe lexoni dyzet rreshtat e parë

Filloni nga maja, ku klientët zakonisht hedhin versionin, platformën dhe konfigurimin. Rreshtat e parë ju tregojnë sa i detajuar është skedari, dhe kjo përcakton sa nga pjesa tjetër duhet t'ju interesojë. Një regjistër i parazgjedhur dhe një regjistër korrigjimi janë artefakte të ndryshme me ekspozim të ndryshëm.

head -n 40 vpn-support.log
sed -n '1,40p' vpn-support.log | grep -nE 'version|platform|config|option'

Kontrolloni gjithashtu madhësinë dhe formën e skedarit përpara se të lexoni gjë prej tij. Një skedar teksti prej dy megabajtësh me një ngjarje të përsëritur shkurtohet lehtë. Një kapje binare në të njëjtën dosje është një problem krejt tjetër, dhe kërkon një bisedë tjetër me atë që kërkoi eksportin.

Në Windows ekuivalentët janë nga një cmdlet secili, dhe i pari ia vlen të ekzekutohet në çdo skedar që nuk e keni krijuar vetë:

Get-Content .\vpn-support.txt -TotalCount 40
Get-Item .\vpn-support.txt | Select-Object Length,LastWriteTime

Fushat që identifikojnë një person

Emrat e përdoruesve shfaqen në vende që njerëzit nuk i presin: llogaria e përdorur për vërtetim, subjekti i certifikatës, rruga e profilit nën një drejtori shtëpie dhe emri i makinës që shpesh kodon një emër të vërtetë. Një regjistër që redakton fushën e llogarisë dhe lë rrugën e shtëpisë të paprekur nuk ka redaktuar asgjë.

Konsistenca ka më shumë rëndësi se plotësia kur një inxhinier mbështetjeje duhet të ndjekë një sesion nëpër skedar. Zëvendësoni vlerat me etiketa të qëndrueshme në vend që t'i fshini, në mënyrë që çdo shfaqje e të njëjtit përdorues të lexohet ende si i njëjti përdorues. Fshirja e plotë e fushës thyen fillin që inxhinieri ka nevojë dhe nuk e bën skedarin më të sigurt.

Një vulë kohore është gjithashtu e dhënë personale në tërësi. Orët kur një llogari është lidhur, të marra gjatë një muaji, përshkruajnë orare pune dhe udhëtime. Nëse pyetja nuk ka nevojë për të gjithë gamën, shkurtojeni skedarin në dritaren rreth ngjarjes.

Fushat që identifikojnë një rrjet

Adresat e pikave fundore, rrugët e brendshme dhe opsionet e shtyra përshkruajnë formën e një rrjeti privat. Ky është pikërisht informacioni që një sulmues do të donte të kishte, dhe zakonisht është i pranishëm shumë më në detaje sesa i nevojitet biletës.

Kërkoni familjen e adresave në përdorim, jo vetëm atë që prisnit. Një klient me dy stack mund të regjistrojë një pikë fundore IPv6 dhe një grup rrugësh IPv6 që askush nuk mendoi t'i redaktonte, sepse shqyrtimi kërkonte vetëm katërshe me pika.

grep -nEo '([0-9]{1,3}\.){3}[0-9]{1,3}' vpn-support.log | sort -u | head -n 40
grep -nEo '([0-9a-fA-F]{0,4}:){2,7}[0-9a-fA-F]{0,4}' vpn-support.log | sort -u | head -n 20

Lista unike është pika. Tregon sa adresa të ndryshme përmend skedari, dhe zakonisht janë shumë më pak sesa duket gjatë lëvizjes. Ju jep gjithashtu një listë kontrolli për redaktim dhe një mënyrë për të provuar se i keni mbuluar të gjitha. Dhjetë adresa janë punë pesë minutash, dhe njëqind ju thonë se eksporti është më i gjerë se pyetja.

Mbajeni topologjinë nëse inxhinieri ka nevojë për të. Zëvendësimi i oktetit të dytë dhe të tretë duke ruajtur marrëdhëniet e nënrrjetit i përgjigjet pyetjes pa publikuar gamën. I njëjti truk funksionon për prefikset IPv6. Ajo që i nevojitet inxhinierit është forma e dështimit, dhe forma mbijeton një zëvendësim konsekuent.

Sekretet fshihen në forma, jo në etiketa

Një çelës privat nuk ka nevojë për fjalën “password” afër. Shfaqet si bllok midis rreshtave shënues, si një varg i gjatë base64 ose si një dump konfigurimi brenda rreshtit. Shenjat shfaqen si parametra pyetësorë, dhe kredencialet shfaqen brenda URL-ve që një klient i ka regjistruar fjalë për fjalë.

grep -nE 'BEGIN [A-Z ]*PRIVATE KEY|password|passwd|token|secret|psk|auth-user-pass' vpn-support.log
grep -nE 'https?://[^ ]*:[^ ]*@' vpn-support.log

Modeli i dytë është ai që njerëzit harrojnë. Një URL në formën skemë, përdorues, fjalëkalim, host është një kredencial i plotë, dhe klientët regjistrojnë URL të tilla sa herë që një proxy ose një feed konfigurohet me vërtetim brenda rreshtit.

Kurrë mos e dërgoni skedarin origjinal si provë se nuk e keni redaktuar. Nëse një operator këmbëngul për një eksport të pandryshuar, pyesni për çfarë i nevojitet, dërgoni atë përmes kanalit të tyre të verifikuar të mbështetjes dhe më pas fshini kopjen tuaj lokale. Ajo kërkesë është legjitime; një ngjitje publike nuk është.

Ndërtoni kopjen e redaktuar dhe dërgoni fragmentin

Punoni mbi një kopje, ruani origjinalin në një vend të mbrojtur dhe redaktoni me një komandë të përsëritshme në vend të dorës. Një kalim mbi modelet e adresave kap pjesën më të madhe:

cp vpn-support.log vpn-support.original.log
sed -E 's/([0-9]{1,3}\.){3}[0-9]{1,3}/ADDR/g; s/[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+/USER@DOMAIN/g' \
  vpn-support.original.log > vpn-support.redacted.log
grep -cE 'PRIVATE KEY|password|token' vpn-support.redacted.log

Numri përfundimtar duhet të jetë zero. Nëse nuk është, kalimi i redaktimit ka humbur një formë dhe duhet të shikoni ato rreshta përpara se të dërgoni gjë. Lexoni skedarin e redaktuar një herë edhe me sytë tuaj; një skript kap modele, jo kontekst.

Dërgoni fragmentin më të vogël që ende tregon dështimin. Dhjetë rreshta rreth gabimit zakonisht mjaftojnë, dhe janë shumë më të lehtë për t'u rishikuar sesa një skedar prej dy megabajtësh. Më pas mbani korrespondencën midis etiketave tuaja dhe vlerave reale në një vend që ju kontrolloni, sepse pyetja pasuese do t'i ketë nevojë.

Dokumentacioni i OpenVPN për regjistrimin përshkruan se si nivelet e hollësisë ndryshojnë atë që regjistrohet, dhe ky është kontekst i dobishëm për të vendosur sa e skedarit i nevojitet vërtet problemit.